In 2017 bestond 26,2 procent van de ransomware-slachtoffers uit zakelijke gebruikers, terwijl dit in 2016 22,6 procent was. Dit komt deels door drie ongekende aanvallen op bedrijfsnetwerken die het steeds grimmiger wordende ransomware-landschap voorgoed hebben veranderd, aldus het jaarlijkse Story of the Year 2017-rapport van Kaspersky Lab.
2017 zal de boeken ingaan als het jaar waarin de ransomware-dreiging een even plotselinge als spectaculaire evolutie heeft gekend. Deze werd gedreven door geavanceerde dreigingsactoren die bedrijven over de hele wereld hebben bestookt met een reeks destructieve wormaanvallen, waarvan het uiteindelijke doel nog altijd een mysterie is. Het gaat hier om deWannaCry-aanval van 12 mei, ExPetr op 27 juni en BadRabbit van eind oktober. In alle gevallen bedienden de aanvallers zich van exploits die speciaal zijn ontwikkeld om bedrijfsnetwerken te compromitteren. Bedrijven waren ook het doelwit van andere ransomware en Kaspersky Lab wist ransomware-infecties bij meer dan 240.000 zakelijke gebruikers te voorkomen.
“De spraakmakende aanvallen van 2017 zijn een extreem voorbeeld van de groeiende criminele interesse in bedrijfsdoelen”, zegt Jornt van der Wiel, Security Researcher bij Kaspersky Lab. “We zagen deze trend al in 2016, in 2017 is hij geaccelereerd en vooralsnog lijkt hij niet van plan om gas terug te nemen. Zakelijke slachtoffers zijn zeer kwetsbaar, kunnen een hogere losprijs betalen dan particulieren en zijn vaak bereid om te betalen om het bedrijf operationeel te houden. Het mag geen verrassing heten dat er ook nieuwe bedrijfsgerichte infectievectoren, bijvoorbeeld via externe desktopsystemen, in opkomst zijn.”
Andere ransomware-trends in 2017
- In totaal werden er in 2017 bijna 950.000 unieke gebruikers aangevallen, tegenover ongeveer 1,5 miljoen in 2016. Het verschil is voor een groot deel te zoeken in detectiemethoden (bijvoorbeeld: de downloaders die vaak worden geassocieerd met cryptomalware, worden nu beter gedetecteerd door heuristische technologieën, dus niet geclassificeerd samen met de ransomware-gerelateerde gevallen die door onze telemetrie worden verzameld.)
- De drie grote aanvallers, evenals andere, minder beruchte families zoals AES-NI en Uiwix, gebruikten geavanceerde exploits die in het voorjaar van 2017 online zijn gelekt door een groep die bekend staat als de Shadow Brokers.
- Er is een duidelijke daling in het aantal nieuwe ransomware-families – 38 in 2017 tegenover 62 in 2016 – met een overeenkomstige toename van aanpassingen aan bestaande ransomware – meer dan 96.000 nieuwe wijzigingen werden gedetecteerd in 2017, vergeleken met 54.000 in 2016. De toename van modificaties is mogelijk een weerspiegeling van pogingen van aanvallers om hun ransomware te verdoezelen, omdat beveiligingsoplossingen steeds beter tot detectie in staat zijn.
- Vanaf het tweede kwartaal van 2017 hebben enkele groepen hun ransomware-activiteiten beëindigd en sleutels gepubliceerd om bestanden te decoderen. Het gaat hier onder andere om AES-NI, xdata, Petya/Mischa/GoldenEye en Crysis. Crysis is daarna weer opgedoken, mogelijk gereanimeerd door een andere groep.
- De groeiende trend om bedrijven te infecteren via remote-desktopsystemen hield aan in 2017: deze aanpak groeide uit tot de belangrijkste propagatiemethode van verschillende wijdverspreide families, zoals Crysis, Purgen/GlobeImposter en Cryakl.
- Van de in 2017 door ransomware getroffen bedrijven geeft 65 procent aan dat ze de toegang tot een aanzienlijke hoeveelheid data, of zelfs álle data, hebben verloren. Van iedere zes bedrijven die hebben betaald, heeft er één de verloren data niet meer kunnen terughalen. Deze cijfers komen grotendeels overeen met die van 2016.